Las empresas que entran dentro del umbral legal de la Ley de Protección de Datos de los Consumidores de Montana (Montana Consumer Data Privacy Act, MCDPA) tienen hasta el 1 de octubre de 2024 para prepararse para su cumplimiento.
Por ello, he elaborado esta sencilla lista de comprobación de seis pasos para ayudar a las empresas a cumplir los requisitos establecidos por la MCDPA.
¿Listo para seguirnos?
Lista de comprobación del cumplimiento de la MCDPA: Paso a paso
Para ayudar a simplificar los requisitos de la MCDPA, he elaborado esta sencilla lista de control de seis pasos.
Parte 1: Realice una auditoría de privacidad
Para cumplir con la MCDPA, su empresa debe realizar primero una auditoría de privacidad para identificar todos los datos personales que recopila de los consumidores, por qué y cómo se utilizan.
También llamado inventario de datos, considere uno de los siguientes métodos para completar este proceso:
Parte 2: Requisitos de notificación de privacidad
La MCDPA exige a las empresas que presenten a los consumidores de Montana una política de privacidad razonablemente accesible, clara y significativa que explique la siguiente información:
- Qué categorías de datos personales recopila.
- La finalidad del tratamiento de los datos.
- Cómo pueden los consumidores ejercer sus derechos y recurrir las decisiones basadas en solicitudes.
- Qué categorías de datos comparte con terceros, en su caso.
- Con qué categorías de terceros comparte datos, en su caso.
- Una dirección de correo electrónico activa u otro mecanismo que los consumidores puedan utilizar para ponerse en contacto con usted.
Parte 3: gestión del consentimiento para el tratamiento específico de datos
Las empresas sujetas al cumplimiento de la MCDPA deben gestionar el consentimiento de los usuarios para permitirles optar por no participar en distintos tipos de tratamiento de datos, entre ellos:
- Venta de datos personales
- Tratamiento de sus datos para publicidad dirigida
- Tratamiento de sus datos para la elaboración de perfiles
Puede cumplir esta directriz utilizando una plataforma gestión del consentimiento (CMP) y presentando a los visitantes de su sitio web un banner de consentimiento conforme.
Parte 4: Obligaciones contractuales para compartir o vender datos personales
En virtud de la MCDPA, las empresas que actúen como responsables del tratamiento de datos y trabajen con terceros encargados del tratamiento deben utilizar un contrato vinculante en el que se establezcan los siguientes requisitos:
- Incluya las instrucciones para el tratamiento de los datos, su naturaleza, su duración y su finalidad.
- Exigir un deber de confidencialidad sobre los datos.
- Exigir al transformador que demuestre el cumplimiento de la MCDPA.
- Exigir al encargado del tratamiento que suprima o devuelva todos los datos personales al responsable del tratamiento a discreción de éste.
- Exigir al encargado del tratamiento que elimine o devuelva todos los datos al final del contrato.
- Exigir al encargado del tratamiento que coopere con las evaluaciones razonables realizadas por el responsable del tratamiento.
- Exija a los subcontratistas que firmen un contrato con las mismas obligaciones.
Parte 5: Derechos del consumidor y solicitudes verificables de los consumidores
Si su empresa está sujeta a la MCDPA, debe ofrecer a los consumidores de Montana dos o más formas de presentar solicitudes de consumidores verificables para que se respeten sus derechos:
- Confirme si está tratando sus datos.
- Solicitar acceso a sus datos
- Corregir inexactitudes en sus datos.
- Obtenga una copia portátil siempre que sea posible.
- Solicitar la supresión de sus datos personales.
- Optar por que no se vendan sus datos.
- Optar por que no se procesen sus datos para publicidad dirigida.
- Exclusión voluntaria de la elaboración de perfiles.
Para cumplir este requisito legal, podría aplicar las siguientes soluciones en su sitio web:
- Utilice un formulario de Solicitud de Acceso del Sujeto a los Datos (DSAR).
- Proporcione una dirección de correo electrónico a la que los usuarios puedan enviar sus solicitudes.
- Publique un política de cookies si su sitio utiliza cookies que recogen datos sensibles, datos que usted vende o datos utilizados para publicidad dirigida.
- Utilice un banner de consentimiento para que los consumidores puedan ejercer sus derechos de exclusión.
En virtud de la MCDPA, los sitios web deben respetar los mecanismos universales de exclusión voluntaria (UOOM, por sus siglas en inglés) como una solicitud verificada de los consumidores para hacer valer sus derechos de exclusión voluntaria antes del 1 de enero de 2025.
Parte 6: Procedimientos y prácticas de seguridad
La MCDPA exige a las empresas que apliquen medidas de seguridad administrativas, técnicas y físicas adecuadas para proteger la confidencialidad y accesibilidad de la información personal recopilada.
Algunas de las medidas de seguridad de datos más comunes que puede tener en cuenta son:
- Anonimización y desidentificación de los datos
- Cifrar la información
- Controles de acceso
- Creación de un plan de copia de seguridad o recuperación de datos
Requisitos MCDPA FAQ
¿Aún tiene preguntas sobre la MCDPA? A continuación, respondo a algunas preguntas frecuentes sobre la próxima ley.
¿Se aplica la MCDPA a mi empresa?
La MCDPA se aplica a su empresa si está ubicada en Montana o destina bienes y servicios a residentes del estado y cumple uno de los siguientes umbrales:
- Controla o procesa los datos personales de no menos de 50.000 consumidores, excluidos los datos procesados únicamente para completar transacciones de pago.
- Controla o procesa los datos personales de no menos de 25.000 consumidores y obtiene más del 25% de los ingresos brutos anuales de la venta de datos.
¿Cuándo entra en vigor la MCDPA?
El MCDPA entra en vigor el 1 de octubre de 2024.
¿Quién hace cumplir la MCDPA?
El Fiscal General de Montana conserva la autoridad para hacer cumplir todos los aspectos de la MCDPA.
¿Cuáles son las sanciones por infringir la MCDPA?
No se establece una cuantía económica para las multas por infringir la MCDPA.
Sin embargo, otras leyes estatales estadounidenses prevén sanciones de hasta 7.500 dólares por infracción, y las posibles multas por la MCDPA podrían ser similares.
¿Puede Termly ayudar a cumplir la MCDPA?
Termly ofrece un Generador de Política de Privacidad que puede ayudar a simplificar el cumplimiento de leyes como la MCDPA por parte de las empresas.
Le hace preguntas sencillas sobre su negocio y elabora una póliza única y completa basada en sus respuestas. El generador incluirá todas las cláusulas necesarias, tal y como exige la MCDPA antes de que la ley entre en vigor.
También proporcionamos una plataforma gestión del consentimiento (CMP) configurable para ayudar a los sitios web a cumplir los requisitos de exclusión voluntaria establecidos por la ley de Montana sobre privacidad del consumidor.
Viene con un formulario DSAR gratuito, por lo que puede proporcionar un método fiable para que los usuarios envíen solicitudes de seguimiento de sus derechos.
Resumen
Las empresas que necesiten cumplir con la MCDPA antes de que entre en vigor el 1 de octubre de 2024, pueden utilizar mi lista de comprobación de seis pasos, fácil de seguir, como ayuda para cumplir los requisitos legales:
- Realice una auditoría de privacidad para determinar todos los datos personales que recopila su empresa, por qué los recopila y cómo se utilizan.
- Elabore una política de privacidad que cumpla todos los requisitos de notificación establecidos por la ley.
- Gestione el consentimiento de los usuarios y ofrézcales un método para ejercer sus derechos de exclusión voluntaria.
- Cuando trabaje con procesadores de datos externos, asegúrese de elaborar y firmar contratos que cumplan las directrices descritas en la MCDPA.
- Presentar a los usuarios dos o más formas de presentar solicitudes verificables de consumidores para que se respeten sus nuevos derechos de privacidad.
- Aplique medidas de seguridad adecuadas para proteger la integridad de todos los datos personales que obren en su poder.
Puede utilizar soluciones como Termly Generador de Política de Privacidad y CMP para simplificar aún más el cumplimiento de leyes como la MCDPA.
Escrito por Natasha Piirainen
Natasha Piirainen es una escritora especializada en privacidad con una licenciatura en Inglés y Filosofía por el Wheaton College y más de 10 años de experiencia profesional en el desarrollo de contenidos basados en la investigación.
Leer todas las publicaciones de Natasha Piirainen
Revisado por Josh Langeland, CIPM
Josh Langeland es ingeniero especializado en privacidad y licenciado en Informática por la Universidad de Minnesota. Le apasiona utilizar la tecnología para respetar la privacidad de los usuarios y se desenvuelve con soltura en la intersección entre la tecnología compleja y la legislación en materia de privacidad, en constante evolución.
Leer todas las publicaciones revisadas por Josh Langeland, CIPM
